Phenquestions
Laipni lūdzam TLS un SSL iesācēju ceļvedī. Mēs pamatīgi iegremdēsimies asimetriskās vai publiskās atslēgas kartogrāfijas lietojumos.
Kas ir asimetriskā kriptogrāfija?
Publiskās atslēgas kriptogrāfija tika ieviesta 1970. gada sākumā. Kopā ar to radās ideja, ka informācijas šifrēšanai un atšifrēšanai jāizmanto viena atslēga, bet jāizmanto divas atsevišķas atslēgas: šifrēšana un atšifrēšana. Tas nozīmē, ka informācijas šifrēšanai izmantotā atslēga neattiecas uz šīs informācijas atšifrēšanas jautājumu. To sauc arī par asimetrisko kriptogrāfiju.
Tas ir jauns jēdziens, un, lai to sīkāk izstrādātu, būtu nepieciešams izmantot ļoti sarežģītu aprēķinu, tāpēc mēs saglabāsim šo diskusiju citam laikam.
Kas ir TLS un SSL?
TLS nozīmē Transporta slāņa drošība, savukārt SSL ir saīsinājums no Secure Socket Layer. Abas ir publiskās atslēgas kriptogrāfijas lietojumprogrammas, un tās kopā ir ļāvušas interneta lietotājiem veikt sakarus internetā.
Kas tieši ir šie divi, ir paskaidrots tālāk.
Ar ko TLS atšķiras no SSL?
Gan TLS, gan SSL izmanto asimetrisku pieeju šifrēšanai, lai nodrošinātu sakarus internetā (rokasspiedieni). Galvenā atšķirība starp abām ir tā, ka SSL radās komerciālu jauninājumu rezultātā, un tāpēc mātesuzņēmuma, kas ir Netscape, īpašums. Turpretī TLS ir Internet Engineering Task Force Standard, nedaudz atjaunināta SSL versija. Tas tika nosaukts citādi, lai izvairītos no autortiesību jautājumiem un, iespējams, tiesas procesa.
Precīzāk sakot, TLS patiešām ir ar dažiem atribūtiem, kas to atdala no SSL. TSL rokasspiedieni tiek izveidoti bez drošības, un tos pastiprina komanda STARTTLS, kas nav SSL gadījumā.
TSL tiek uzskatīts par SSL uzlabojumu, jo tas ļauj parasti nedrošus vai nedrošus rokasspiedienus uzlabot uz drošu statusu.
Kas padara TLS savienojumus drošākus nekā SSL?
Datoru drošības tirgos notiek intensīva konkurence. SSL 3.0 nevarēja sekot līdzi internetam un 2015. gadā tika padarīts par novecojušu. Tam ir vairāki iemesli, galvenokārt saistīti ar ievainojamībām, kuras nevarēja novērst. Viena no šādām uzņēmībām ir SSL savietojamība ar šifriem, kas spēj izturēt mūsdienu kiberuzbrukumus.
TLS 1 joprojām ir ievainojamība.0, jo iebrucējs var piespiest SSL 3.0 savienojumu ar klientu un pēc tam izmantojiet tā ievainojamību. Tas vairs nenotiek ar jauno TLS jauninājumu.
Kādus pasākumus mēs varam veikt?
Ja esat saņēmēja pusē, vienkārši atjauniniet pārlūkprogrammu. Mūsdienās visām pārlūkprogrammām ir iebūvēts atbalsts TLS 1.2, tāpēc drošības uzturēšana klientiem nav tik grūta. Tomēr lietotājiem joprojām jāievēro piesardzības pasākumi, redzot sarkanos karodziņus. Praktiski visi brīdinājuma ziņojumi no jūsu pārlūkprogrammām norāda uz šādiem sarkaniem karodziņiem. Mūsdienu tīmekļa pārlūkprogrammas ir ārkārtas, lai noteiktu, vai vietnē notiek kaut kas neskaidrs.
Vietņu mitināšanas serveru administratoriem ir lielāki pienākumi. Šajā ziņā jūs varat darīt daudz, taču sāksim rādīt ziņojumu, kad klients izmanto novecojušu programmatūru.
Piemēram, tiem, kas izmanto Apache mašīnas kā serverus, vajadzētu izmēģināt:
$ SSLOptions + StdEnvVars$ RequestHeader iestatīja X-SSL protokolu% SSL_PROTOCOL s
$ RequestHeader iestatīja X-SSL šifru% SSL_CIPHER s
Ja izmantojat PHP, meklējiet $ _SERVER skriptā. Ja rodas kaut kas, kas norāda, ka TLS ir novecojis, attiecīgi tiks parādīts ziņojums.
Lai labāk nostiprinātu servera drošību, ir pieejami bezmaksas utilīti, kas pārbauda sistēmas jutīgumu pret TLS un SSL trūkumiem. Daži no tiem var vēl labāk konfigurēt jūsu serveri. Ja jums patīk šī ideja, pārbaudiet Mozilla SSL konfigurācijas ģeneratoru, kas pamatā veic visu darbu, lai iestatītu serveri, lai samazinātu TLS riskus.
Ja vēlaties pārbaudīt servera SSL uzņēmību, pārbaudiet Qualys SSL Labs. Tajā darbojas automatizēta konfigurācija, kas ir gan visaptveroša, gan sarežģīta, ja esat orientēts uz detaļām.
Kopsavilkumā
Ņemot vērā visu, atbildības svars gulstas uz visu pleciem.
Līdz ar moderno datoru un tehnikas parādīšanos kiberuzbrukumi ar laiku ir kļuvuši arvien ietekmīgāki un vērienīgāki. Visiem interneta lietotājiem jābūt pietiekamām zināšanām par sistēmām, kas aizsargā viņu privātumu tiešsaistē, un, veicot nepieciešamos piesardzības pasākumus, sazinoties internetā.
Jebkurā gadījumā jums vienmēr ir daudz labāk izmantot atvērtā koda datus, jo tie ir drošāki, bezmaksas un var paveikt darbu.
